შესასვლელის სერტიფიკატი წესრიგშია: რატომ მაინც ვერ შედის IKEv2 PEAP

თქვენი VPN შესასვლელის სერტიფიკატი ძალაშია, ჯაჭვი მოწმდება, და IKEv2 კლიენტი მაინც უარყოფს შესვლას სერტიფიკატის მოქმედების ვადის შესახებ შეტყობინებით. პირველი იმპულსია შესასვლელის სერტიფიკატის ხელახლა გაცემა ან EAP მეთოდის შეცვლა, და ორივე ჩვეულებრივ მცდარია. შესვლის მცდელობა ორ ცალკე სერვერის იდენტობას ატარებს: შესასვლელის სერტიფიკატს, რომელსაც IKE იყენებს, და სერტიფიკატს, რომელსაც PEAP-ის დამამთავრებელი წარმოადგენს. ერთი მათგანი წესრიგშია, ხოლო მეორე არის მიზეზი, თუ რატომ გაჩერდა კლიენტი.

ორი იდენტობა, ერთი შესვლის მცდელობა

VPN პროფილში არსებული სერტიფიკატი IKE გაცვლას ეკუთვნის: ის ამტკიცებს, რომ კონფიგურირებული IKE პოლიტიკის ფარგლებში შესასვლელი არის ის მხარე, რომელსაც პროფილი ასახელებს. სერტიფიკატი, რომელიც აქ ვერ გადის, სხვა საუბარს ეკუთვნის, იმ TLS სესიას, რომელსაც PEAP ხსნის მომხმარებლის ავთენტიფიკატორთან, რომელიც ხშირად NPS-ის მსგავსი RADIUS სერვერია და არა თავად შესასვლელი. მესამე შემოწმება, მომხმარებლის რწმუნებათა სიგელები, სწორედ ამ სესიის შიგნით ხდება. სწორი პაროლი ვერ შეაკეთებს ვადაგასულ სერვერის სერტიფიკატს, და სწორი შესასვლელის სერტიფიკატი ვერ იქნება PEAP საბოლოო წერტილის გარანტი.

ეს შრეებრივობა ხსნის, რატომ ჩნდება სერტიფიკატის შეცდომა იქ, სადაც ერთადერთი კონფიგურირებული სერტიფიკატი შესასვლელის იყო. ის ასევე ხსნის, რატომ არაფერს ცვლის ამ სერტიფიკატის ხელახლა გაცემა.

წაიკითხეთ ჟურნალის სტრიქონი ეტაპის მიმართ

იპოვეთ შეტყობინება, რომელიც ასახელებს მიზეზს და თარიღებს. მოქმედების ვადის შესახებ ჩივილი სუბიექტის შეცდომის გვერდით ნიშნავს, რომ სერვერმა უარყო მისთვის მიცემული სერტიფიკატი და არა ის, რომ მომხმარებელმა უარყო შესვლა. შემდეგ იპოვეთ ეტაპი: strongSwan-ის charon ჟურნალი EAP გაცვლის დაწყებამდე აჩვენებს IKE_SA .* established, ამიტომ ამ სტრიქონის შემდეგ სერტიფიკატის შეცდომა EAP იდენტობას ეკუთვნის, ხოლო მანამდე არსებული შეცდომა შესასვლელზე მიუთითებს. Windows კლიენტის კავშირის პანელში ეტაპის ტექსტი იმავეს ამბობს.

ნებისმიერ სერტიფიკატზე ხელის შეხებამდე შეამოწმეთ კლიენტის საათი. მოწყობილობა, რომელიც საათებითაა გადახრილი, იძლევა იმავე ვადის შეცდომას, რასაც ნამდვილად ვადაგასული სერტიფიკატი. საათის გასწორება ხუთწამიანი შესწორებაა, ხოლო იმ სერტიფიკატის შეცვლა, რომელიც არასდროს ყოფილა პრობლემა, შეფერხებაა.

გაარკვიეთ, რომელი საბოლოო წერტილი ამთავრებს PEAP-ს

შესასვლელისა და RADIUS-ის არქიტექტურაში შესასვლელი EAP-ს გადასცემს და არ ამთავრებს მას. strongSwan-ის eap-radius დანამატი გაცვლას RADIUS სერვერს გადასცემს, რომელსაც ეკუთვნის PEAP TLS სესია და მისი სერტიფიკატი. დააკავშირეთ ერთი წარუმატებელი მცდელობა ორივე ჟურნალში და დაადასტურეთ, რომელმა პროცესმა აირჩია სინამდვილეში სერტიფიკატი ამ სესიისთვის.

NPS-ისთვის სერტიფიკატი უნდა იყოს ლოკალური კომპიუტერის საცავში, ატარებდეს სერვერის ავთენტიფიკაციის დანიშნულებას, შეესაბამებოდეს იმ სახელს, რომელსაც კლიენტები ელიან, და იყოს წაკითხვადი მომსახურების ანგარიშისთვის. NPS-ისთვის Microsoft-ის სერტიფიკატის მოთხოვნები ჩამოთვლის ამ პირობებს. სხვა EAP სერვერებს საკუთარი შერჩევის წესები აქვთ, ამიტომ ნუ გადაიტანთ NPS-ის თავისებურებებს FreeRADIUS-ის განლაგებაში ან პირიქით. წესი, რომელიც ორივე შემთხვევაში მოქმედებს, არის ის, რომ PEAP-ის დამამთავრებელი საბოლოო წერტილი ფლობს იმ სერტიფიკატს, რომლის შეცვლასაც აპირებთ.

შეცვალეთ სერტიფიკატი იქ, სადაც EAP მთავრდება

განაახლეთ ან შეცვალეთ სერტიფიკატი იმ საბოლოო წერტილზე, რომელიც ამთავრებს PEAP-ს, მხარდაჭერილი პროცედურით, შეინარჩუნეთ სერვერის ავთენტიფიკაციის დანიშნულება და მოსალოდნელი სახელი. დააყენეთ სრული ჯაჭვი იქ, სადაც მომსახურება ეძებს მას, და მიეცით მომსახურებას წვდომა პირად გასაღებზე. გადატვირთეთ ან ხელახლა მიაბით მომსახურება, რადგან ბევრი მომსახურება ძველ სერტიფიკატს მეხსიერებაში ინახავს და განაგრძობს მის წარდგენას. მანქანაზე დაკოპირებული ფაილი არაფერს ამტკიცებს იმის შესახებ, თუ რომელ სერტიფიკატს წარმოადგენს მომსახურება სინამდვილეში.

დაადასტურეთ ცვლილება შემდეგი მცდელობის მომსახურების საკუთარ ჟურნალთან დაკავშირებით, ან იმ სერტიფიკატის შემოწმებით, რომელიც სესიამ წარმოადგინა. თუ ეს ჟურნალი ჯერ კიდევ ძველ ანაბეჭდს აჩვენებს, გადატვირთვამ არ იმოქმედა.

ნუ ჩათვლით, რომ საქაღალდეში უახლესი ფაილია გამოყენებული. სწორი სახელისა და არასწორი ნებართვების მქონე ასლი არაფერს ცვლის. შეაფასეთ ცვლილება წარმოდგენილი იდენტობით და არა ფაილის დროის ნიშნით.

რა არ უნდა გააკეთოთ

ნუ გამორთავთ PEAP-ის შემოწმებას და ნუ დააძალებთ უფრო სუსტ შიდა მეთოდს შეცდომის გვერდის ასავლელად. ეს ცვლის პოლიტიკას და აშორებს სერვერის ავთენტიფიკაციის თვისებას, რომელმაც ვადაგასული სერტიფიკატი თავიდანვე დაიჭირა. თქვენ შეცვლიდით მუშა შემოწმებას მუშა კავშირზე, და შემდეგი ვადაგასული სერტიფიკატი მოვიდოდა ყოველგვარი გამაფრთხილებლის გარეშე.

სხვა ოპერაციული სისტემის წარმატებული კავშირი ნუ ჩათვლით სერტიფიკატის მისაღებობის მტკიცებულებად. იმ კლიენტმა შეიძლება გამოიყენოს სხვა EAP მეთოდი, სხვა ნდობის საცავი ან საერთოდ არანაირი სერვერის შემოწმება, ამიტომ მისი წარმატება არაფერს ამბობს აქ წარუმატებელ შემოწმებაზე. შეინარჩუნეთ ერთი განზრახ უარყოფითი ტესტი, მაგალითად არასწორი სახელის სერტიფიკატი ან არასანდო ჯაჭვი, რომელიც მოსალოდნელად ვერ გადის. თუ ეს ტესტი ახლა გადის, თქვენ ამოიღეთ შემოწმება და არ შეაკეთეთ სერტიფიკატი. ჩაწერეთ, რომელი იდენტობა ვერ გაიარა, რათა შემდეგმა ადამიანმა ისევ შესასვლელის სერტიფიკატით არ დაიწყოს.